ACI LDAP-verificatie configureren

Inleiding

Dit document beschrijft hoe u LDAP-verificatie (Application Centric Infrastructure) (ACI) kunt configureren.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• ACI-beleid voor verificatie, autorisatie en accounting (AAA)
• LDAP

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Application Policy Infrastructure Controller-controller (APIC) versie 5.2(7f)
• Ubuntu 20.04 met slip en phpLDAPadmin

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

In dit deel wordt beschreven hoe APIC kan worden geconfigureerd om met de LDAP-server te integreren en LDAP als de standaardverificatiemethode te gebruiken.

Configuraties

Stap 1. Groepen/gebruikers maken op Ubuntu phpLDAPadmin

In dit document, basis-DN is dc=dclab,dc=com en twee gebruikers (Gebruiker1 en Gebruiker2) behoren tot Groepen (DCGroup).

Stap 2. LDAP-providers op APIC configureren

Navigeer in de APIC-menubalk naar Admin > AAA > Authentication > LDAP > Providers zoals in de afbeelding.

Bind DN: De bind DN is de geloofsbrieven u gebruikt om tegen een LDAP voor authentiek te verklaren. APIC verifieert het gebruiken van deze rekening om de folder te vragen.

Base-DN: Deze string wordt door de APIC gebruikt als een referentiepunt voor het zoeken en identificeren van gebruikerangen in de directory.

Wachtwoord: Dit is het vereiste wachtwoord voor de bind DN noodzakelijk om tot de server LDAP toegang te hebben, correlerend met het wachtwoord dat op uw server LDAP wordt gevestigd.

SSL inschakelen: Als u een intern CA of een zelfondertekend certificaat gebruikt, moet u Permissive kiezen.

Filter: De standaardinstelling van het filter is cn=$userid wanneer de gebruiker is gedefinieerd als een object met een algemene naam (CN), de filter wordt gebruikt om te zoeken naar de objecten in de Base-DN.

Attribuut: Attribute wordt gebruikt om groepslidmaatschap en rollen te bepalen. ACI biedt hier twee opties: memberOf en CiscoAVPair.memberOf is een RFC2307bis attribuut om groepslidmaatschap te identificeren. Op dit moment controleert OpenLDAP RFC2307, dus title wordt deze gebruikt.

Management endpoint group (EPG): Connectiviteit met de LDAP-server wordt bereikt via de In-band of Out-of-band EPG, afhankelijk van de gekozen netwerkbeheerbenadering.

Stap 3. Regels voor LDAP-groepstoewijzing configureren

Navigeer in de menubalk naar Admin > AAA > Authentication > LDAP > LDAP Group Map Rules  zoals in de afbeelding.

Gebruikers in DCGroup hebben beheerdersrechten. Daarom cn=DCGroup, ou=Groups, dc=dclab, dc=com. Awijst de Groep DN het veiligheidsdomein aan All toe en wijst de rollen van admin met toe write privilege.

Stap 4. LDAP-groepkaarten configureren

Navigeer in de menubalk naar Admin > AAA > Authentication > LDAP > LDAP Group Maps  zoals in de afbeelding.

Maak een LDAP Group Map die LDAP Group Map-regels bevat die in Stap 2 zijn gemaakt.

Stap 5. AAA-verificatiebeleid configureren

Navigeer in de menubalk naar Admin > AAA > Authentication > AAA > Policy > Create a login domainzoals in de afbeelding.

Navigeer in de menubalk naar Admin > AAA > Authentication > AAA > Policy > Default Authentication  zoals in de afbeelding.

Wijzing de standaardverificatie Realm in LDAP en selecteer LDAP Login Domain aangemaakt.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.



Controleer dat de LDAP-gebruiker User1 zich met succes aanmeldt bij APIC met de beheerdersrol en schrijfrechten.

Problemen oplossen

Deze sectie bevat informatie die u kunt gebruiken om problemen met de configuratie te troubleshooten.

Wanneer de gebruiker niet in de LDAP-database bestaat:

Als het wachtwoord niet correct is:

Wanneer de LDAP-server onbereikbaar is:

Opdrachten voor troubleshooting:

apic1# moquery -c aaaLdapProvider Total Objects shown: 1 # aaa.LdapProvider name : 10.124.3.6 SSLValidationLevel : strict annotation : attribute : title basedn : ou=Users,dc=dclab,dc=com childAction : descr : dn : uni/userext/ldapext/ldapprovider-10.124.3.6 enableSSL : no epgDn : uni/tn-mgmt/mgmtp-default/oob-default extMngdBy : filter : cn=$userid key : lcOwn : local modTs : 2024-03-26T07:01:51.868+00:00 monPolDn : uni/fabric/monfab-default monitorServer : disabled monitoringPassword : monitoringUser : default nameAlias : operState : unknown ownerKey : ownerTag : port : 389 retries : 1 rn : ldapprovider-10.124.3.6 rootdn : cn=admin,dc=dclab,dc=com snmpIndex : 1 status : timeout : 30 uid : 15374 userdom : :all: vrfName : apic1# show aaa authentication Default : ldap Console : local apic1# show aaa groups Total number of Groups: 1 RadiusGroups : RsaGroups : TacacsGroups : LdapGroups : LDAP apic1# show aaa sessions Username User Type Host Login Time ---------- ---------- --------------- ------------------------------ User1 remote 10.140.233.70 2024-04-08T07:51:09.004+00:00 User1 remote 10.140.233.70 2024-04-08T07:51:11.357+00:00

Als u meer hulp nodig hebt, neem dan contact op met Cisco TAC.

Gerelateerde informatie

• Cisco APIC-configuratiehandleiding voor beveiliging, release 5.2(x)
• Cisco Technical Support en downloads